אם הודעת דוא״ל עשויה להיות חשובה לחקירה, לתביעה או לבירור פנימי, אל תסתפקו בצילום מסך ואל תעבירו אותה שוב ושוב. שמרו את ההודעה בתיבה המקורית, הורידו עותק בפורמט הודעה כגון EML או MSG, שמרו את הקבצים המצורפים בלי לערוך אותם, ותעדו מי ביצע את הייצוא, מתי ומאיזו תיבה. צילום מסך או PDF יכולים להקל על הקריאה, אך בדרך כלל אינם שומרים את כל שכבת המידע הטכנית.
המדריך מסביר מה נמצא בתוך הודעת דוא״ל, כיצד שומרים אותה ב-Gmail וב-Outlook, מה אפשר ללמוד מכותרות ההודעה ומה אסור להסיק מהן לבדן. הוא אינו מדריך לפריצה לתיבה, לעקיפת סיסמה או לאיסוף מידע מחשבון שאינכם מורשים לגשת אליו.
הודעה חשובה התקבלה עכשיו: שבע פעולות ראשונות
- אל תמחקו ואל תעבירו לתיקייה אחרת בלי צורך. שמרו את ההודעה גם במיקומה המקורי בתיבה.
- אל תלחצו על קישור ואל תפתחו קובץ חשוד. במקרה של התחזות, כופרה או איום, הפעולה עצמה עלולה להרחיב את הנזק.
- אל תשיבו לפני תיאום. תשובה עשויה לחשוף שהחשד התגלה, ליצור הודעות נוספות או לשנות את התנהגות הצד השני.
- שמרו את ההודעה כקובץ. בחרו אפשרות הורדה או שמירה של ההודעה עצמה, לא רק הדפסה.
- שמרו את הכותרות המלאות. אם הן אינן כלולות באופן נגיש בקובץ, העתיקו אותן לקובץ טקסט נפרד ותעדו מאיזו הודעה נלקחו.
- צלמו את ההקשר. תעדו את מיקום ההודעה בשרשור, שם התיקייה, מועד הקבלה כפי שמוצג והודעות סמוכות שעשויות להסביר את האירוע.
- רשמו פעולות. מי שמר, באיזה מחשב, מאיזו תיבה, באיזה תאריך ובאיזו שעה.
עוצרים את הנזק ופונים לגורם המתאים לפני ניתוח עצמאי. במקרה של סכנה לאדם פונים למשטרה. במקרה של העברה בנקאית חשודה פונים מיד לבנק בערוץ מוכר, ובאירוע סייבר מערבים את אחראי אבטחת המידע. שימור ראיות חשוב, אך אינו קודם לבטיחות ולעצירת נזק.
ארבע שכבות שחשוב לשמור
הודעת דוא״ל איננה רק הטקסט שרואים על המסך. לצורך בירור רציני מפרידים בין ארבע שכבות:
| שכבה | מה היא כוללת | למה היא חשובה |
|---|---|---|
| התוכן המוצג | שולח, נמען, נושא, גוף ההודעה והשרשור | מסביר מה נטען ומה התבקש |
| קובץ ההודעה | EML, MSG או פורמט הייצוא של המערכת | עשוי לשמור מבנה, כותרות ותוכן בצורה עשירה יותר מצילום מסך |
| כותרות טכניות | Message-ID, Received, Date, Return-Path ושדות אימות | מסייעות לבדוק מסלול, זמנים ואי-התאמות |
| הקשר ויומנים | שרשור, כללי תיבה, לוגים ארגוניים, שיחת אימות והעברה בנקאית | מחברים את ההודעה לאירוע ומונעים מסקנה על סמך פריט בודד |
EML, MSG, PDF וצילום מסך: מה ההבדל?
- EML הוא קובץ הודעה נפוץ המבוסס על מבנה הודעת אינטרנט. הוא עשוי לכלול את גוף ההודעה, הכותרות והקבצים המצורפים.
- MSG הוא פורמט של Microsoft Outlook. הוא עשוי לשמור פריטי Outlook ושדות נוספים, אך אופן התוכן תלוי בגרסה ובדרך הייצוא.
- PDF הוא תצוגה נוחה לקריאה, להדפסה ולסימון. הוא אינו תחליף לקובץ ההודעה המקורי מפני ששכבות טכניות עלולות שלא להיכלל בו.
- צילום מסך מראה כיצד חלק מההודעה הוצג ברגע מסוים. הוא שימושי להקשר חזותי, אך קל לחתוך ממנו פרטים והוא אינו שומר את מקור ההודעה.
אין צורך לבחור רק פורמט אחד. שומרים את קובץ ההודעה כעותק מקור, וניתן ליצור ממנו עותק PDF לצורכי עבודה. את עותק העבודה מסמנים ככזה ולא מחליפים באמצעותו את המקור.
איך שומרים הודעה מ-Gmail?
לפי מרכז העזרה הרשמי של Google, במחשב ניתן לפתוח את ההודעה, לבחור בתפריט הפעולות הנוספות ולבחור הורדת ההודעה. הקובץ שיורד הוא קובץ EML. לצפייה בכותרת המלאה פותחים את ההודעה, בוחרים בפעולות הנוספות ולאחר מכן הצגת המקור. במסך זה ניתן להעתיק את הכותרת המלאה.
- פתחו את ההודעה בדפדפן במחשב, בתוך התיבה שבה התקבלה.
- רשמו את כתובת החשבון, התיקייה או התווית, ותאריך הייצוא.
- בחרו הורדת ההודעה ושמרו את קובץ ה-EML בתיק מסודר.
- בחרו הצגת המקור ושמרו גם את הכותרת המלאה אם הדבר נדרש לבדיקה.
- אל תשנו את קובץ ה-EML. לניתוח יוצרים עותק עבודה.
אם ההודעה שייכת לחשבון ארגוני, מנהל המערכת עשוי להחזיק לוגים או כלי חקירה נוספים. אין לנסות לקבל אותם באמצעות הרשאות שאינן שלכם; פונים למורשה המתאים ושומרים גם את בקשת האיסוף ואת תוצאתה.
איך שומרים הודעה מ-Outlook?
Microsoft מפרסמת הוראות שונות ל-Outlook החדש, ל-Outlook הקלאסי ול-Outlook בדפדפן. בגרסאות החדשות ניתן לבחור בפעולות נוספות ובאפשרות שמירה בשם או הורדה; הקובץ עשוי להישמר כ-EML או MSG בהתאם לגרסה. ב-Outlook הקלאסי פותחים את ההודעה בחלון נפרד ובוחרים קובץ > שמירה בשם.
כדי לראות כותרות אינטרנט:
- Outlook החדש או Outlook בדפדפן: פעולות נוספות, תצוגה, פרטי הודעה.
- Outlook הקלאסי: פותחים את ההודעה בחלון נפרד, בוחרים קובץ, מאפיינים, ומאתרים את תיבת כותרות האינטרנט.
שמות התפריטים משתנים בין גרסאות ושפות. אם האפשרות אינה מופיעה, אין להמיר את ההודעה ידנית לטקסט. מתעדים את גרסת התוכנה ופונים למנהל המערכת או לאיש מקצוע שיבצע ייצוא מתאים.
כותרות דוא״ל: מה הן יכולות לספר?
תקן RFC 5322 מגדיר את המבנה הבסיסי של הודעת אינטרנט, ובכלל זה שדות כגון Date, From, To, Subject ו-Message-ID, וכן שדות מעקב מסוג Received. בפועל שירותי דואר מוסיפים שדות נוספים. שמות השדות והממצאים אינם רשימת אמת אוטומטית: חלק מהערכים נכתבים בידי תוכנת השולח, חלק בידי שרתים בדרך, וחלק בידי מערכת המקבל.
שדות נפוצים ומשמעות זהירה
- From: הכתובת שמוצגת כשולח. היא עשויה להיות שונה מזהות השולח בפועל או להיות מזויפת.
- Reply-To: הכתובת שאליה תישלח תשובה. אי-התאמה ל-From יכולה להיות לגיטימית או סימן לבדיקה.
- Return-Path: כתובת מעטפת המשמשת למסירת הודעות חוזרות. גם היא אינה מוכיחה מי כתב את ההודעה.
- Message-ID: מזהה הודעה שנוצר בדרך כלל על ידי מערכת הדואר. כפילויות, היעדר שדה או מבנה חריג עשויים להצדיק בדיקה, אך אינם מסקנה עצמאית.
- Received: שורות שנוספות לאורך מסלול המסירה. מנתחים אותן בסדר הנכון ותוך התחשבות באזורי זמן, מערכות פנימיות והעברות.
- Date: מועד שהוצהר בעת יצירת ההודעה. הוא עשוי להיות שונה ממועד הקבלה בשרת.
- Authentication-Results: עשוי להציג תוצאות של מנגנוני אימות דומיין. תוצאה תקינה יכולה לתמוך בכך שהודעה עברה בדיקות מסוימות, אך אינה מוכיחה מי האדם שהפעיל את החשבון.
כותרת דוא״ל היא מקור טכני שצריך לפרש בהקשר. היא יכולה להצביע על פער בין כתובות, מסלול מסירה או זמן; היא אינה מזהה לבדה אדם, אינה מוכיחה כוונה ואינה שוללת אפשרות של חשבון שנפרץ.
מה בודקים לצד הכותרת?
- האם הבקשה חריגה ביחס להתכתבויות קודמות?
- האם שונו פרטי חשבון בנק או אופן תשלום?
- האם ההודעה נכנסה לשרשור קיים לאחר השתלטות על תיבה?
- האם יש כניסות חריגות, כללי העברה או הרשאות חדשות בחשבון?
- האם הנמען אימת את הבקשה בערוץ תקשורת עצמאי?
- האם קיים עותק זהה בתיבת השולח או במערכת הארגונית?
- האם חותמות הזמן תואמות לוגים, מסמכים ופעולות בנקאיות?
בחשד לשינוי פרטי ספק או התחזות למנהל, כדאי לקרוא גם את המדריך לחקירת BEC והתחזות לספק.
נוהל שימור מסודר: ממקור ועד מסירה
1. מגדירים את מקור ההודעה
רושמים באיזו תיבה התקבלה ההודעה, למי שייכת התיבה, האם מדובר בחשבון פרטי או ארגוני, באיזה ממשק נצפתה ההודעה ומי מורשה לגשת אליה. אין להשתמש בסיסמה של אדם אחר רק משום שהיא זמינה.
2. שומרים עותק מקור
מורידים את ההודעה בפורמט שמציע שירות הדואר ושומרים אותה בתיקייה מוגנת. אם קיימים קבצים מצורפים, שומרים את ההודעה השלמה וגם את הקבצים בנפרד לצורכי בדיקה. אין לפתוח קובץ חשוד על מחשב עבודה רגיל.
3. מתעדים את פעולת האיסוף
רשומת האיסוף כוללת שם האוסף, תאריך ושעה, מקור, שם הקובץ, אמצעי הייצוא, מקום השמירה וכל תקלה. אם שונה שם הקובץ לצורך סדר, שומרים גם את השם המקורי ברשומה.
4. מחשבים ערך גיבוב כשנדרש
ערך גיבוב יכול לסייע להראות שקובץ מסוים לא השתנה בין שתי נקודות זמן. הוא אינו מוכיח שההודעה אמיתית ואינו מתקן איסוף לא מורשה. מתעדים את האלגוריתם, הערך, הקובץ המדויק והמועד.
5. יוצרים עותק עבודה
ניתוח, סימון, המרה ל-PDF או הוספת הערות נעשים על עותק. המקור נשאר לקריאה בלבד ככל האפשר. אם מומחה מפיק תוצר חדש, שומרים את המקור, את התוצר ואת הסבר הפעולה שבוצעה.
6. מוסרים באופן מתועד
במסירה לעורך דין, לחוקר, למומחה או לרשות מתעדים למי נמסר, מתי, באיזה אמצעי ומה בדיוק כלל המארז. להרחבה ראו את המדריך לשרשרת ראיות ואת רשימת הבדיקה למסירת ראיות דיגיטליות.
גבולות חוקיים ופרטיות
עצם הרצון להוכיח טענה אינו יוצר הרשאה להיכנס לתיבת דוא״ל. חוק המחשבים וחוק הגנת הפרטיות עשויים להיות רלוונטיים לאופן הגישה, האיסוף והשימוש. בדוא״ל של עובד יש להבחין בין תיבה פרטית חיצונית, תיבה מקצועית, מדיניות הארגון, הרשאות והנסיבות. הרשות להגנת הפרטיות הבהירה במסמך על מעקב עובדים מרחוק שמעסיק אינו רשאי לחדור לתיבת דוא״ל פרטית-חיצונית של עובד ללא צו שיפוטי.
- אוספים רק מתיבה שיש לכם סמכות חוקית ומעשית לגשת אליה.
- מצמצמים את האיסוף למידע הרלוונטי ולא מורידים תיבה שלמה כברירת מחדל.
- מגבילים גישה לקבצים ומעבירים אותם בערוץ מאובטח.
- נמנעים מפרסום כתובות, מספרי טלפון ותוכן אישי שאינם דרושים.
- כאשר קיים הליך משפטי או יחסי עבודה, מתאמים מראש עם עורך דין.
דוגמה בדיונית: החשבונית נראתה אמיתית, אבל השרשור נחטף
התרחיש הבא מומצא לחלוטין ונועד להמחשה בלבד. מנהלת חשבונות בחברה קיבלה הודעה בתוך שרשור מוכר עם ספק קבוע. בהודעה נכתב שחשבון הבנק הוחלף ונדרש תשלום באותו יום. שם השולח, החתימה והודעות העבר נראו תקינים.
במקום להסתפק בצילום מסך, החברה שמרה את ההודעה כקובץ, את הכותרות המלאות, את השרשור ואת רישום השיחה שבה אומתה הבקשה. הבדיקה העלתה שההודעה החשודה אמנם הגיעה מתוך תיבה אמיתית של הספק, אך לא היה בכך כדי להוכיח שהספק עצמו שלח אותה. לוגים שנאספו בידי הגורם המורשה הצביעו על כניסה חריגה ועל כלל העברה חדש.
המסקנה לא נבנתה משדה בודד בכותרת. היא נבנתה מהחיבור בין קובץ ההודעה, מסלול המסירה, פעילות החשבון, שינוי פרטי התשלום ושיחת האימות. במקביל פנתה החברה לבנק ולא המתינה לסיום החקירה. זהו ההבדל בין ״לנתח אימייל״ לבין לנהל אירוע ראייתי ותפעולי.
עשר טעויות שמחלישות בדיקת דוא״ל
- שמירת צילום מסך בלבד.
- העברת ההודעה לחוקר במקום הורדת קובץ המקור.
- מחיקת ההודעה מהתיבה לאחר הייצוא.
- פתיחת קובץ מצורף חשוד על מחשב רגיל.
- הנחה שכתובת From מוכיחה מי שלח.
- הנחה שתוצאת אימות תקינה מזהה את האדם שמאחורי החשבון.
- התעלמות מאזורי זמן ומהבדל בין זמן יצירה לזמן קבלה.
- עריכת הקובץ המקורי או המרתו בלי לשמור מקור.
- גישה לתיבה פרטית או ארגונית בלי לבדוק הרשאה.
- ניתוח ההודעה בלי לבדוק שרשור, לוגים, מסלול כסף ואימות חיצוני.
רשימת בדיקה קצרה למסירה
- קובץ EML או MSG של ההודעה.
- כותרות מלאות, אם אינן זמינות בבירור בקובץ.
- קבצים מצורפים מקוריים, בלי לפתוח או לערוך כשקיים חשד בטיחותי.
- PDF או צילום מסך לצורכי תצוגה, מסומן כעותק עבודה.
- תיעוד התיבה, התיקייה, החשבון והמועד.
- יומן פעולות: מי אסף, שמר, העתיק ומסר.
- הודעות סמוכות והקשר רלוונטי.
- לוגים ארגוניים שנאספו בידי גורם מורשה.
- תיעוד שיחת אימות, דיווח לבנק או פנייה לרשות.
שאלות נפוצות
האם צילום מסך של אימייל מספיק?
הוא יכול להיות חלק מהתיעוד, אך בדרך כלל אינו שומר את הכותרות המלאות, מבנה ההודעה והקבצים המצורפים. לכן שומרים גם את קובץ ההודעה וההקשר.
האם PDF נחשב למקור?
PDF שנוצר מהדפסה הוא בדרך כלל תוצר תצוגה. הוא עשוי להיות שימושי, אך אינו מחליף את הקובץ שיוצא משירות הדואר.
האם כותרות דוא״ל מוכיחות מאיזה מחשב נשלחה ההודעה?
לא תמיד. המסלול תלוי בשירות, בשרתים, במכשירים ובאופן השליחה. כתובת IP עשויה להשתייך לשרת או לשירות ביניים, וחלק מהשדות אינם מופיעים בכל מערכת. נדרשת פרשנות טכנית והצלבה.
מה עדיף, EML או MSG?
שומרים בפורמט שהמערכת מאפשרת בלי לבצע המרה מיותרת. אם Outlook מציע MSG ואם ניתן להוריד EML, אפשר לשמור את שניהם, לתעד כיצד נוצר כל קובץ ולהימנע מהכרזה שאחד מהם הוא ״המקור״ בלי להבין את סביבת המערכת.
אפשר פשוט להעביר את ההודעה לעורך הדין?
העברה יוצרת הודעה חדשה ועלולה לשנות את ההקשר הטכני. עדיף למסור את קובץ ההודעה שנשמר, בצירוף תיעוד האיסוף, בערוץ מאובטח ובהתאם להנחיות עורך הדין.
מותר למעסיק לפתוח Gmail פרטי של עובד?
לא מניחים שהמעסיק רשאי לעשות זאת. הרשות להגנת הפרטיות הצביעה במפורש על מגבלות חדירה לתיבה פרטית-חיצונית. במצב קונקרטי פונים לייעוץ משפטי לפני גישה או איסוף.
מקורות רשמיים והמשך קריאה
- Google: הצגת הכותרת המלאה של הודעה
- Google: הורדת הודעת Gmail כקובץ
- Microsoft: הצגת כותרות הודעה ב-Outlook
- Microsoft: שמירת הודעה כ-EML או כקובץ אחר
- RFC 5322: Internet Message Format
- חוק הגנת הפרטיות במאגר החקיקה הלאומי
- חוק המחשבים במאגר החקיקה הלאומי
- הרשות להגנת הפרטיות: היבטי פרטיות במעקב אחר עובדים בעבודה מרחוק
המידע במדריך הוא כללי ואינו תחליף לייעוץ משפטי, לחוות דעת פורנזית או לטיפול באירוע סייבר. אופן השימור המתאים תלוי במערכת, בהרשאות, בסוג ההליך ובסיכון.
לבדיקה מהירה של EML, MSG, Message-ID ושדות דוא״ל נוספים ראו את מילון המונחים המתקדם בראיות דיגיטליות.
ליישום מעשי של שמירת EML וכותרות ראו ניתוח הודעת הפישינג בשם רשות המסים.
